Ransom.Win64.NERMER.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Tamaño del archivo 459,264 bytes

Tipo de archivo EXE

Residente en memoria No

Fecha de recepción de las muestras iniciales 14 de junio de 2021

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
vssadmin.exe Delete Shadows /All /Quiet
To delete backup:
- del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
- del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
- del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
- del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
- del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
- del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
- wbadmin DELETE SYSTEMSTATEBACKUP
del %0
bcdedit.exe /set {default} recoveryenabled No
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
wmic.exe SHADOWCOPY /nointeractive

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

{8761ABBD-7F85-42EE-B272-A76179687C63}

Técnica de inicio automático

Inicia los servicios siguientes:

LanmanWorkstation

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

wxServer.exe
wxServerView
sqlservr.exe
sqlmangr.exe
RAgui.exe
supervise.exe
Culture.exe
RTVscan.exe
Defwatch.exe
sqlbrowser.exe
winword.exe
Winword.exe
onenotem.exe
QBW32.exe
QBDBMgr.exe
qbupdate.xe
QBCFMonitorService.exe
axlbridge.exe
QBIDPService.exe
httpd.exe
fdlauncher.exe
MsDtsSrvr.exe
sqlwriter.exe
fdhost.exe
ssms.exe

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

wrapper
DefWatch
ccEvtMgr
ccSetMgr
SavRoam
sqlservr
sqlagent
sqladhlp
Culserver
RTVscan
sqlbrowser
SQLADHLP
QBIDPService
Intuit.QuickBooks.FCS
QBCFMonitorService
sqlwriter
msmdsrv
MSSQLServerADHelper100
MSSQLFDLauncher
MSSQLSERVER
MSSQLServerOLAPService
SQLBrowser
MsDtsServer100
ReportServer
SQLWriter
SQLSERVERAGENT

Otros detalles

Cifra los archivos con las extensiones siguientes:

123
1c
1cd
3dm
3ds
3fr
3g2
3gp
3pr
602
7z
7zip
_ms
aac
ab4
abd
accdb
accde
accdr
accdt
ace
ach
acr
act
adb
adi
adp
ads
aes
afi
agdl
ai
aiff
aii
air
ais
ait
aiv
al
alg
allet
ams
aocla
aoi
apj
apk
arc
arch00
arm
art
arw
arz
asc
asf
asm
asp
aspx
asset
asx
avhdx
avi
awg
backup
backupdb
bank
bar
bat
bay
bc6
bc7
bck
bco
bdb
bgt
big
bik
bin
bkf
bkp
bkup
blend
blob
bmp
bpn
bpw
brd
bsa
bsm
bxl
bz2
cad
cam
cas
cbk
cbu
cdf
cdr
cdr3
cdr4
cdr5
cdr6
cdrw
cdx
ce1
ce2
cel
cer
cert
cf
cfg
cfr
cgi
cgm
chg
cib
ckt
class
classpath
cls
cmd
cmt
cnf
con
config
contact
cpa
cpi
cpp
cpr
cr2
craw
crt
crw
cs
csa
csh
cshtml
csl
csr
css
csv
ctl
cwz
d3dbsp
dac
das
data
dazip
db0
db3
db5
db_journal
dba
dbc
dbf
dbs
dbx
dc2
dch
dcr
dcs
ddb
ddd
ddoc
ddrw
dds
der
des
desc
design
dft
dgc
dif
dip
dit
djvu
dmp
dng
doc
docb
docm
docx
dot
dotm
dotx
dra
drf
drl
dru
drw
dsn
dsnwrk
dt
dtd
dwg
dxb
dxf
dxg
ecf
edb
edf
elt
eml
emz
epk
eps
erbsql
erf
esm
ewprj
exf
fdb
ff
ffd
fff
fh
fhd
fla
flac
flf
flp
flv
flvv
fods
fodt
forge
fos
fp7
fpd
fpk
fpx
frm
fsh
fxg
g1
g2
g3
g4
gbl
gbo
gbp
gbr
gbs
gbx
gdb
gho
gif
gko
gml
gp
gp1
gp2
gp3
gp4
gpb
gpg
gpt
gray
grb
grey
groups
gry
gtl
gto
gtp
gts
gwk
gz
hbk
hdd
hkdb
hkx
hplg
hpp
html
hvpl
hwp
ibank
ibd
ibz
icxs
idb
idc
idx
iif
iiq
incpas
indd
info
ip
ipc
ism
iso
itdb
itl
itm
iwd
iwi
ix
jar
java
jnt
jpe
jpeg
jpg
jrl
js
jsp
kc2
kdb
kdbx
kdc
kf
kicad
kpdx
kwm
laccdb
lay
lay6
layout
lbf
lbr
lc
lck
ldb
ldf
lg
lgc
lia
lib
libprj
license
licz
lit
litemod
llx
lmc
log
lrf
ltx
lua
lvl
lyt
lzh
lzma
m2
m2ts
m3u
m4a
m4p
m4u
m4v
map
mapimail
max
mbx
mcmeta
md
mdb
mdbackup
mdc
mddata
mdf
mef
menu
mfw
mid
mkv
mlb
mlx
mml
mmw
mny
moneywell
mos
mov
mp3
mp4
mpeg
mpg
mpqge
mrg
mrw
mrwref
msg
mst
mts
myd
myi
mysql
mysqli
nbd
nc
ncf
nd
ndd
ndf
nef
nk2
nop
nrw
ns2
ns3
ns4
nsd
nsf
nsg
nsh
ntl
nvram
nwb
nx2
nxl
nyf
oab
obj
obk
odb
odc
odf
odg
odm
odp
ods
odt
oeb
ogg
oil
olb
one
onetoc2
opj
opt
ora
orf
ost
otg
oth
otp
ots
ott
p12
p7b
p7c
pab
pad
pages
pak
paq
par
pas
pat
pbd
pc
pcb
pcbdoc
pcd
pct
pdb
pdblib
pdd
pdf
pef
pem
pfx
phj
phl
pho
php
pif
pkpass
pl
plc
plus_muhd
png
pot
potm
potx
ppam
ppc
pps
ppsm
ppsx
ppt
pptm
pptx
prf
prj
prjcor
prjemb
prjpcb
pro
project
prt
ps
ps1
psafe3
psc
psd
psk
psm
pspimage
pst
ptx
pwm
py
q99
qb1
qba
qbb
qbk
qbm
qbmb
qbmd
qbquery
qbr
qbw
qbx
qby
qcow
qcow2
qdf
qed
qfd
qfx
qic
qif
qmd
qry
quicken
quicken2015backup
quicken2016backup
quicken2017backup
qw5
r3d
raf
rar
rat
raw
rb
rdb
re4
reu
rgss3a
rim
rm
rofl
rou
rtf
rul
rvt
rw2
rwl
rwz
s3db
safe
sal
sas7bdat
sav
save
say
sb
sbn
sbx
sch
schdoc
schlib
sd0
sda
sdf
sh
shp
shx
sid
sidd
sidn
sie
sis
sl2
sl3
sldm
sldx
slk
slm
sln
snt
snx
spp
sqb
sql
sqlite
sqlite3
sqlitedb
sqr
sr2
srf
srt
srw
ssq
st4
st5
st6
st7
st8
stc
std
sti
stm
stp
stw
stx
sum
suo
svg
swf
sxc
sxd
sxg
sxi
sxm
sxw
syncdb
t12
t13
tar
tax
tbk
tcf
tex
tga
tgz
thm
tib
tif
tiff
tlg
tmd
tmp
tor
trn
txt
ub
uop
uot
upk
vb
vbk
vbm
vbox
vbs
vcd
vcf
vdf
vdi
vfs0
vhd
vhdx
vib
vlb
vmdk
vmem
vmsd
vmx
vmxf
vob
vom
vpk
vpp_pc
vsd
vsdx
vtf
w3x
wab
wad
wallet
wav
wb2
wbk
wdb
wk1
wks
wma
wmo
wmv
wotreplay
wpd
wps
x11
x3f
xf
xg3
xgo
xis
xla
xlam
xlc
xlk
xlm
xlr
xls
xlsb
xlsm
xlsx
xlt
xltm
xltx
xlw
xml
xps
xslt
xxx
ycbcra
ydk
zip
zpd
ztmp

Hace lo siguiente:

This ransomware can perform privilege escalation
It encrypts in all existing drives of the affected system
It encrypts files from network share
It empties out the Recycle Bin

Motor de exploración mínimo 9.800

Primer archivo de patrones de VSAPI 16.826.04

Primera fecha de publicación de patrones de VSAPI 06 de julio de 2021

Versión de patrones OPR de VSAPI 16.827.00

Fecha de publicación de patrones OPR de VSAPI 07 de julio de 2021

Step 2

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 4

Identificar y terminar los archivos detectados como Ransom.Win64.NERMER.A

[ aprenda más ]

Para los usuarios de Windows 98 y ME, puede que el Administrador de tareas de Windows no muestre todos los procesos en ejecución. En tal caso, utilice un visor de procesos de una tercera parte (preferiblemente, el Explorador de procesos) para terminar el archivo de malware/grayware/spyware. Puede descargar la herramienta en cuestión aquí.
Si el archivo detectado aparece en el Administrador de tareas o en el Explorador de procesos, pero no puede eliminarlo, reinicie el equipo en modo seguro. Para ello, consulte este enlace para obtener todos los pasos necesarios.
Si el archivo detectado no se muestra en el Administrador de tareas o el Explorador de procesos, prosiga con los pasos que se indican a continuación.

Step 5

Eliminar este valor del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
- EnableLinkedConnections = 1

Step 6

Buscar y eliminar estos archivos

[ aprenda más ]

Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.

{Encrypted directory}\PROTECT_INFO.TXT

DATA_GENERIC_FILENAME_1

En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.

Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.

Repita los pasos 2 a 4 con el resto de archivos: {Encrypted directory}\PROTECT_INFO.TXT

Step 7

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como Ransom.Win64.NERMER.A En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Step 10

Restore encrypted files from backup.

Rellene nuestra encuesta!

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

Ransom.Win64.NERMER.A

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

América

Oriente Medio y África

Europa

Asia-Pacífico